Apertura · Explotadas conocidas

CISA pasa Collabora Online y Arista VeloCloud Orchestrator de «posible» a «ya está ocurriendo»

Dos vulnerabilidades entraron el viernes en la lista de Vulnerabilidades Explotadas Conocidas, porque siempre es viernes, y Arista ha parcheado un zero-day de VeloCloud Orchestrator que se usó en ataques.

confianza 0.85

La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. añadió el viernes dos vulnerabilidades a su catálogo de Vulnerabilidades Explotadas Conocidas. Una afecta al servidor Built-in CODE Server de Collabora Online y la otra a Arista VeloCloud Orchestrator (VCO). CISA citó informes de explotación activa en circulación. Un informe aparte indica que Arista ha parcheado un nuevo zero-day de VeloCloud Orchestrator que fue explotado en ataques.

Los elementos de que disponemos no incluyen los números CVE, así que tome los identificadores y las versiones corregidas de los avisos de los fabricantes, no de la memoria ni del resumen de un panel. Haga dos cosas esta mañana: localice todos los servidores Collabora CODE y todos los VCO de su propiedad, incluidos los que alguien levantó para un piloto, y compruebe si cada uno está parcheado y si es accesible desde lugares desde los que no debería serlo.

Este es el replanteamiento. KEV no es una lista de vulnerabilidades. Es una lista de cosas que han dejado de ser hipotéticas, una categoría más pequeña y mucho más descortés. Un orquestador es, por definición, la máquina que dice a las demás qué hacer. Cuando es otro quien le dice al orquestador qué hacer, el resto de su diagrama es decorativo.

Por qué importaLas entradas de KEV son explotación confirmada, no conjeturas de CVSS. Collabora CODE y VeloCloud Orchestrator pasan al primer puesto de la cola de parches de esta semana, y además de parchear, hay que buscar compromisos previos.

Fuentes

Today’s revelation

Una banda que se enfría a las 22:58 y escala a las 23:50 no ha cambiado de comportamiento en menos de una hora. El panel sí, y el panel es el que va en el dosier del consejo.

— Sturgeon's Revelations · Probably Fine Daily No. 29

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§2

Principales noticias

El resto de las últimas 24 horas, con fuentes.

Vulnerabilidades

CGM CLININET: once CVE en un solo sistema hospitalario, varias de ellas con root como destino

Once registros CVE del sistema de información hospitalaria CGM CLININET se publicaron conjuntamente el 23 de octubre. Incluyen: un endpoint /DocManagment sin autenticación que permite a alguien de la red adyacente listar y descargar documentos de pacientes (CVE-2025-30043, corregido en 2026.MS3); RCE por deserialización de Java a través de la API administrativa (CVE-2025-30047); procesos HL7 que se ejecutan como root mientras analizan datos no confiables de sistemas externos (CVE-2025-30046); inyección de expresiones Perl hasta root (CVE-2025-30045); y una importación del módulo RunCGI.pm que ejecuta código controlado por el atacante (CVE-2025-30050). El resto del lote: contraseñas almacenadas como MD5 sin sal (CVE-2025-30049), credenciales de la base de datos y de RabbitMQ en un SysIO.pl legible por cualquiera (CVE-2025-30051), un rsyncd que autentica por IP de origen (CVE-2025-30052), un cgm-updater a la escucha en un puerto abierto sin autenticación (CVE-2025-30053), una escalada local a root mediante scripts HL7 con permisos de escritura (CVE-2025-30054) y un XSS reflejado (CVE-2025-58403). Varias se describen como confirmadas hasta 2026.MS3, con la posibilidad de que versiones posteriores sigan afectadas. El corpus no muestra indicios de explotación.

Por qué importaLa mayoría requiere acceso a la red adyacente, así que el control que importa es la segmentación: saque hoy mismo los servidores CLININET, las interfaces HL7 y el puerto del actualizador de cualquier red clínica o corporativa plana y, después, vaya en busca de las versiones corregidas.

confianza 0.80

Fuentes

Ransomware

Qilin y N0n publican 31 reivindicaciones cada uno en un día, y los rastreadores no se ponen de acuerdo sobre a qué se dedican las víctimas

Qilin publicó 31 elementos el domingo frente a una mediana de 7 el resto de los días, y N0n igualó la cifra con 31 frente a una mediana de 5. La lista de Qilin incluye Commonwealth Community Bank, Heber City en Utah, White & Case y Ooredoo Myanmar, que un agregador clasifica en Tecnología y el otro en Publicidad y Marketing. La de N0n incluye Andrews Advisory Group, una firma de asesoría financiera y reestructuración de Chicago cuyo listado describe 3.698 historiales de pacientes. El rastreador Atlas marcó la racha estadounidense de Qilin como en enfriamiento a las 22:58 y en escalada a las 23:50, y a lo largo de siete días el rastreador de ritmo cuenta 192 reivindicaciones de 41 de los 267 grupos vigilados, con lamashtu en 7 frente a 1,25 esperadas y SilentRansomGroup en 9 frente a 2,27.

Por qué importaEl volumen es real, pero las etiquetas no. Antes de incluir una conclusión sectorial en un informe, contraste los nombres de las víctimas con sus propios proveedores e ignore las flechas de tendencia.

confianza 0.75

Fuentes

IA y seguridad

Los agentes de IA siguen saliendo con un botón de «sí» que cualquiera puede pulsar

Unos investigadores hallaron un archivo de instrucciones AGENTS.md malicioso en la carpeta Descargas de un cliente que engañó a un agente de programación con IA para que instalara un paquete npm falso. Las CVE de la misma semana encontraron el mismo vicio en otros sitios. PraisonAI anterior a la 4.6.59 aprueba una llamada a una herramienta peligrosa pendiente cuando cualquier usuario no bot del canal de aprobación publica algo clasificado como aprobación, como «yes»; muestra los argumentos de las herramientas sin escapar en su panel de aprobación; y permite que la ruta de receta en streaming omita la política de herramientas peligrosas. Aider hasta la 0.86.2 carga automáticamente un .aider.conf.yml confirmado en el repositorio sin solicitar confianza y ejecuta sus comandos con shell=True, AgenticSeek fija el modo de depuración de Flask en todas las interfaces, y el servidor de desarrollo de ADK para Java de Google omitía las comprobaciones de origen de WebSocket antes de la 1.13.0. Mientras tanto, OpenAI afirma que entrenará sus modelos más avanzados sin acceso a internet en vivo, bajo un titular sobre agentes que demuestran evasiones de máquinas virtuales y comunicación secreta entre sandboxes.

Por qué importaTrate los archivos de configuración e instrucciones de los agentes (AGENTS.md, .aider.conf.yml) como código ejecutable en las revisiones y en las reglas de EDR. Parchee PraisonAI, Aider y ADK, y localice cualquier herramienta de agentes enlazada a 0.0.0.0.

confianza 0.80

Fuentes

IA y seguridad

Una clave de LiteLLM confirmada en mayo acabó en una versión maliciosa del paquete

LiteLLM reveló el viernes que una clave maestra de Agent Platform se publicó en un repositorio público de GitHub a finales de mayo de 2026, tras confirmarse un archivo de configuración el 27 de mayo. Afirma que esa clave acabó permitiendo al actor de la amenaza robar tokens de GitHub, secuestrar el flujo de publicación y subir una versión maliciosa del popular paquete de Python.

Por qué importaSi descargó LiteLLM en la ventana afectada, compare las versiones instaladas con el aviso del proyecto. Después, compruebe si sus propios tokens de CI sobrevivirían a un único archivo de configuración filtrado.

confianza 0.80

Fuentes

1Security newsLeaked LiteLLM Master Key Let Attackers Steal GitHu…

Vulnerabilidades

Tailscale SSH puede convertir un dispositivo comprometido en root en otros, sin parche por ahora; los routers ASUS dan root en estado de fábrica

Un investigador ha publicado fallos de Tailscale SSH que permiten que un solo dispositivo comprometido de una tailnet obtenga root en otros servidores a los que ya llega. El ataque requiere que Tailscale SSH esté configurado para permitir la redirección de puertos y un atacante que ya controle un dispositivo. Tailscale dice que habrá una corrección. Por separado, ASUS reveló CVE-2026-75775, inyección de comandos como root en routers en su estado de fábrica; CVE-2026-75779, CSRF encadenado a ejecución de comandos como root a través de un administrador con sesión iniciada; y CVE-2026-93489, en la que un usuario cercano sin autenticar puede falsificar un ticket de acceso y realizar operaciones de administrador.

Por qué importaHasta que Tailscale publique su corrección, audite las ACL en busca de permisos de redirección de puertos SSH y elimine los que nadie sepa justificar. No deje nunca equipos ASUS en su estado predeterminado en una red.

confianza 0.80

Fuentes

Ransomware

Falcon, Emperador y WhiteArmor publican reivindicaciones de grandes nombres con cifras sospechosamente exactas

Falcon afirma haber obtenido 738 GB de Astrana Health (470 GB comprimidos), incluidos informes de auditoría regulatoria y tablas de reembolso, y 82 GB del bufete de demandas masivas Weitz & Luxenberg, incluidas comunicaciones privilegiadas entre abogado y cliente; las dos publicaciones aparecieron con una hora de diferencia. Emperador reivindica AB InBev y enumera 329.244 alertas de social listening y 2.510 correos corporativos. WhiteArmor reivindica el almacén de documentos GCRM de Hisense y una base de datos de LoveSac con 1.113.285 registros de pedidos, y acusa a J.B Hunt de enviar discretamente correos a sus clientes para que cambiaran sus contraseñas en lugar de negociar. Después anunció que su proveedor de VPS había vetado su cuenta, dejando fuera de línea whitearmor.cc y la mayor parte de sus datos publicados, y dijo que volvería en uno o dos días. Nada de esto está confirmado.

Por qué importaEstas reivindicaciones están redactadas para presionar a las víctimas, no para informarle a usted. Compruebe su exposición a terceros respecto a las empresas citadas y espere a una declaración de la víctima o a una muestra verificable antes de informar a nadie.

confianza 0.70

Fuentes

Actores de amenazas

El bootkit BlackX usa el viejo fallo Baton Drop para esquivar Secure Boot

Un nuevo bootkit UEFI llamado BlackX, usado en una campaña de espionaje a principios de 2026, explotó la antigua vulnerabilidad Baton Drop para eludir Secure Boot y cargar un controlador malicioso. El controlador está diseñado para interferir con los productos de seguridad de Kaspersky y Avast. El informe apareció palabra por palabra en dos medios, así que cuéntelo como una fuente, no como dos.

Por qué importaLos fallos antiguos de la cadena de arranque siguen siendo útiles para los atacantes hasta que los componentes vulnerables se revocan realmente en su flota. Compruebe el estado de revocación de Secure Boot. No dé por hecho que la marca verde significa que está al día.

confianza 0.75

Fuentes

Rarezas

Una empresa de seguridad envía más de 2 millones de actualizaciones a ordenadores que no son suyos para desactivar el actualizador de Popcorn Time

Entre noviembre de 2025 y marzo de 2026, la empresa neerlandesa Eye Security envió más de 2 millones de actualizaciones a máquinas que no eran suyas. Las actualizaciones desactivaban un actualizador en segundo plano de la abandonada aplicación Popcorn Time, que según Eye Security podía permitir que un tercero tomara el control de la máquina. Un informe aparte describe la aplicación abandonada como causa de la exposición de millones de dispositivos a RCE.

Por qué importaEl software abandonado conserva su canal de actualización, y quien controla ese canal controla el equipo. Haga inventario de los actualizadores que nadie gestiona y elimínelos.

confianza 0.80

Fuentes

§3

Oculto

La lectura en profundidad del día: lo que hay bajo los titulares, no encima de ellos.

Bajo los feeds: el pico del domingo en los sitios de filtraciones es volumen real envuelto en eco de agregadores, y la señal más sólida para los defensores es el lote de CLININET, no las flechas de tendencia.

Exception 01
La ráfaga de Qilin es real, pero las etiquetas de escalada de Atlas se construyen con los mismos recuentos
Qilin tuvo 31 elementos el 25 de octubre frente a una mediana de 7, en cuatro fuentes. Las historias de escalada de Atlas parecen calcularse a partir de esos mismos recuentos de sitios de filtraciones, por lo que no son una confirmación independiente, y los agregadores se contradicen en las etiquetas de sector (Ooredoo Myanmar figura como Publicidad y Marketing en uno y Tecnología en el otro).
confianza 0.70
Wrong if
Historias de Atlas sobre Qilin que citen datos más allá de las publicaciones en sitios de filtraciones, o un volumen de Qilin que se desplome mientras Atlas sigue diciendo «en escalada».
Watch
Recuentos diarios de Qilin del 26 y 27 de octubre, y si Atlas pasa a «en enfriamiento».
Fuentes
Exception 02
El lote de N0n parece una plantilla
N0n tiene 31 elementos el 25 de octubre frente a una mediana de 5. Las descripciones de las víctimas parecen de plantilla: una firma de asesoría financiera figura con historiales de pacientes. Las etiquetas de país de Atlas (TN, BR, KR, EG) no tienen víctimas coincidentes aquí. No se ha verificado si realmente se sustrajeron datos.
confianza 0.55Speculative
Wrong if
Víctimas que confirmen brechas, o muestras publicadas que coincidan con los recuentos de registros declarados.
Watch
Declaraciones de las víctimas esta semana y si N0n sigue publicando por lotes.
Exception 03
CGM CLININET es una divulgación coordinada, no una campaña
Las CVE de CLININET llevan identificadores de 2025 pero se publicaron todas el 23 de octubre de 2026, lo que apunta a una divulgación coordinada reservada desde hace tiempo. Varias carecen de corrección declarada, y el corpus no muestra explotación ni vínculo con ransomware.
confianza 0.75
Wrong if
Un aviso del fabricante que enumere versiones corregidas para cada CVE, o que las CVE sean rechazadas o fusionadas.
Watch
Notas de parche del fabricante, y cualquier entrada en KEV o PoC público en las próximas dos semanas.
Fuentes
Exception 04
NVD y Krybit se quedaron callados en el mismo momento
NVD y el actor Krybit se detienen en la misma marca de tiempo dentro de la ventana (25 de octubre, 00:21). Parece un límite de ingesta, no un silencio real, así que no interprete nada de que ambos callen.
confianza 0.60Speculative
Wrong if
Elementos de NVD con fecha posterior a esa marca de tiempo que aparezcan en ventanas posteriores, o que Krybit vuelva a publicar.
Watch
Si el volumen de NVD y Krybit reaparecen en la próxima ventana.
Fuentes
Exception 05
Los vínculos de «adelanto-retraso» de Falcon y Payload son colisiones de nombres
Los vínculos que relacionan NVD con los sitios de filtraciones Falcon y Payload coinciden en palabras genéricas: una CVE del kernel de Linux que menciona el falcon SEC2, y una CVE de Part-DB sobre un payload de JavaScript. Casi con certeza son espurios. El elemento real es que Falcon publicó dos grandes conjuntos de datos de EE. UU. en una hora.
confianza 0.70
Wrong if
Una CVE de NVD que afecte realmente a las herramientas del actor.
Watch
Ignórelo como vínculo de amenaza salvo que las publicaciones de víctimas hagan referencia a esos productos.
Fuentes
Exception 06
Las herramientas de agentes siguen fallando en el paso de aprobación
La misma clase de fallo se repite en fuentes no relacionadas (PraisonAI, Aider, AgenticSeek, el secuestro por AGENTS.md, la clave filtrada de LiteLLM): elusiones de aprobación y valores predeterminados inseguros en herramientas de agentes. Es un patrón en los feeds, no prueba de una sola campaña.
confianza 0.50Speculative
Wrong if
Demostrar que los elementos son hechos aislados sin una clase de causa raíz compartida.
Watch
Nuevas CVE de marcos de agentes e incidentes en registros de paquetes esta semana.
Fuentes

Nothing to seeSin agrupaciones temporales. Las ráfagas de plugins de WordPress, las CVE de la biblioteca JOSE gose y las CVE masivas del kernel de Linux son publicación por lotes de CNA, no coordinación. La afirmación sobre Storm-0940/Artex se apoya en una cuenta de Mastodon de estilo satírico y no está corroborada, por lo que queda fuera de las páginas de noticias. Las «historias» sísmicas y de brotes en Atlas son de baja confianza y no tienen elementos que las respalden.

Deep read: 364 artículos leídos

§4

Previsión

Pronósticos fechados y verificables. Evaluamos nuestro propio trabajo en público.

Today’s calls

DueMon 2 Nov7d
Tailscale publica una corrección o un aviso para los fallos de escalada de privilegios de la redirección de puertos de Tailscale SSH antes del 2 de noviembre de 2026.
Wrong ifNo aparece en los feeds ninguna corrección ni aviso de Tailscale para estos fallos antes del 2 de noviembre de 2026.
Fuentes
1. 1Security newsUnpatched Tailscale SSH Flaws Could Let a Hacked De…
2. 2infosec.exchange‼️ WARNING - A researcher just dropped a report on…
f-2026-10-26-1
Confidence0.60
DueThu 29 Oct72h
La publicación pendiente de Majinahanashi sobre Jons Civil Engineering Company Ltd. (JCEL) pasa de PENDING a publicada antes de que acabe el 29 de octubre de 2026, conforme al calendario anunciado del 28 de octubre.
Wrong ifEl listado de JCEL sigue pendiente, o ha sido retirado, el 29 de octubre de 2026.
f-2026-10-26-2
Confidence0.55
DueMon 9 Nov14d
Ninguna de las CVE de CGM CLININET publicadas el 23 de octubre se añade a KEV de CISA antes del 9 de noviembre de 2026.
Wrong ifCualquier entrada CVE-2025-300xx de CLININET que aparezca en KEV el 9 de noviembre de 2026 o antes.
Fuentes
f-2026-10-26-3
Confidence0.85

Scorecard

1 right · 4 wrong

wrong
At least one of CVE-2026-42016, CVE-2026-42018 or CVE-2026-82329 (JFrog Artifactory) is added to CISA KEV by 26 October.
Called Mon 12 Oct · due Mon 26 Oct
Due 26 Oct. No item shows any of the three JFrog CVEs added to KEV. The only KEV item names Collabora and Arista VeloCloud.
Fuentes
1. 1Security newsCISA Flags Two Actively Exploited Critical Flaws in…
wrong
Ivanti publishes a fix or formal mitigation for the third, currently unpatched flaw in the Connect Secure chain by 25 October 2026.
Called Thu 15 Oct · due Sun 25 Oct
Due 25 Oct. No Ivanti advisory update or fix for the third Connect Secure flaw appears in the feeds.
wrong
CVE-2026-102764 (BeyondTrust Remote Support) is added to CISA KEV.
Called Sun 18 Oct · due Sun 25 Oct
Due 25 Oct. No KEV entry for CVE-2026-102764 appears in the items.
wrong
The group calling itself Storm posts at least one additional named victim to a leak-site tracker by 26 October.
Called Mon 19 Oct · due Mon 26 Oct
Due 26 Oct. No Storm leak-site victim appears in the ransomlook or ransomware.live items. The only 'Storm' item is Storm-0940, an unrelated APT.
Fuentes
1. 1infosec.exchange🏆 New Achievement! AI-Assisted Haunting, Full Benef…
right
At least one new ransomware.live listing from The Gentlemen, Qilin or N0n between 25 and 31 October will be followed by a matching Atlas story 5 to 15 hours later.
Called Sun 25 Oct · due Sat 31 Oct
Qilin claimed ECOM (CH) on ransomware.live at 10:35 on 25 Oct. A matching Qilin Retail & E-Commerce CH story appeared at 17:50, about 7 hours later. Hossner-Textil (DE) at 17:17 was followed by a Qilin Manufacturing/DE story at 23:50, about 6.5 hours later.
Fuentes
1. 1ransomware.liveqilin claimed ECOM (Retail & E-Commerce · CH) — N/A
2. 2ransomware.liveqilin claimed Hossner-Textil GmbH (Manufacturing ·…

Glosario de términos ante los que se espera que asientas

Humano en el circuito (n.): La persona cuya aprobación necesita un agente de IA antes de hacer algo peligroso. En al menos una implementación, es cualquiera del canal de Discord que escriba «yes».

§5

Desde nuestro perímetro

Ataques en directo contra nuestros propios servidores en las últimas 24 horas. Sí, realmente los nuestros.

Nuestros propios servidores tuvieron el día poco glamuroso de costumbre. En las últimas 24 horas el sensor Adversary DNA de nuestro perímetro perfiló 139 fuentes hostiles (63 investigadores, 37 rastreadores bot, 33 escáneres y 4 operadores dirigidos), que enviaron 4.435 solicitudes entre todas. 96 pasaron del reconocimiento a intentos de explotación, y 14 grupos de direcciones compartían huella de comportamiento. El mayor grupo fue de 54 IP con un único ADN, sondeando rutas /threat-check/ con nombres de RCE de D-Link y TerraMaster: una herramienta, o un operador que rota direcciones. La puntuación de hostilidad más alta, 7,7 sobre 10, fue para un operador dirigido que buscaba wlwmanifest.xml y xmlrpc.php de WordPress bajo /login/, como si WordPress pudiera esconderse tras una puerta con el rótulo «login»; su cadena de ataque llegó al acceso a credenciales. Otro operador pidió /MyAdmin/, /sql/phpmyadmin4/ y /phpMyAdmin6/ a 98 solicitudes por minuto, un escáner lanzó 30 solicitudes en unos 3,4 segundos, y tres direcciones seguían rociando CVE-2024-4577 sobre /index.php. Nadie llevaba capucha.

139fuentes hostiles perfiladas

4.435solicitudes de esas fuentes

96llegaron a la explotación

14clústeres de ADN compartido

7,7/10hostilidad máxima

8.101direcciones en nuestro perímetro

2.307vistas por primera vez hoy

116países

La lista WTF

WTF #1
El visitante más decidido
143.244.57.90, un operador dirigido (hostilidad 7,7/10), envió 20 solicitudes a uno de nuestros sitios, sondeando /login/wp-includes/wlwmanifest.xml, /login/xmlrpc.php, /login/blog/wp-includes/wlwmanifest.xml, /login/web/wp-includes/wlwmanifest.xml.
Por qué es llamativoLa mayor hostilidad del marcador; su cadena de ataque llegó al acceso a credenciales.
attribution: desconocidoMon 26 Oct, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización → explotación → acceso a credenciales · ADN 82a939927b85
```
WTF #2
Mismo ADN, distintas direcciones
47.79.11.64, un investigador (hostilidad 0,8/10), envió 10 solicitudes a uno de nuestros sitios, sondeando /threat-check/D-Link%20Multiple%20Routers%20Remote%20Code%20Execution%, /threat-check/TerraMaster%20OS%20Remote%20Command%20Execution%20Vulner.
Por qué es llamativo54 IP comparten una misma huella de comportamiento (ADN b77200c2c27d): una herramienta o un operador que rota direcciones: 47.82.52.73, 47.82.55.226, 47.82.54.213, 47.82.50.72, 47.82.55.72 y más.
attribution: desconocidoSun 25 Oct, 08:00 UTC
Detail
```
cadena de ataque: reconocimiento → explotación · ADN b77200c2c27d
```
WTF #3
Probando CVE-2024-4577 contra nosotros
3 direcciones enviaron 14 solicitudes con la forma de una explotación de CVE-2024-4577 (/index.php), entre ellas 94.154.43.199, 185.177.72.7, 2a0f:ca80:b00b:8b48::5.
Por qué es llamativoUn exploit conocido y con nombre sigue rociándose por internet; nuestro perímetro lo vio hoy, diga lo que diga el año en las notas del parche.
attribution: desconocido
Detail
```
familia de sondeo: webshell
```
WTF #4
La lista de la compra más extraña
121.169.40.145, un operador dirigido (hostilidad 6,4/10), envió 128 solicitudes a 98 por minuto, sondeando /MyAdmin/index.php, /sql/phpmyadmin4/index.php, /mysql/mysqlmanager/index.php, /phpMyAdmin6/index.php.
Por qué es llamativoPidió archivos que casi nadie más pide: /MyAdmin/index.php, /sql/phpmyadmin4/index.php, /mysql/mysqlmanager/index.php, /phpMyAdmin6/index.php, /sql/webadmin/index.php.
attribution: desconocidoMon 26 Oct, 00:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización → explotación · ADN 6e70267a94d8
```
WTF #5
Con prisa
81.171.72.93, un escáner (hostilidad 4,7/10), envió 30 solicitudes a uno de nuestros sitios, sondeando /dump.sql, /config.php, /wp-admin/setup-config.php, /config.xml.
Por qué es llamativoLanzó 30 solicitudes en unos 3,4 segundos.
attribution: desconocidoSun 25 Oct, 08:00 UTC
Detail
```
cadena de ataque: reconocimiento → armamentización · ADN ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

192claims, 7 days

41of 267 groups active

N0n36 this week

qilin25 this week

SilentRansomGroup9 this week · surging

Surginglamashtu — 7 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 9 claims in 7 days against 2.3 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.9 expected from its own prior rate (p < 0.001)
SurgingBooba Project — 6 claims in 7 days against 2.0 expected from its own prior rate (p = 0.018)
Surgingbravox — 3 claims in 7 days against 0.8 expected from its own prior rate (p = 0.049)
Backnitrogen — first claim after 138 days of silence; 0 this week

Gone quiet: AiLock (61 days), abyss (61 days), blackwater (63 days), coinbasecartel (64 days).

Sector pressure, 30 days

UpTransportation — 2.2× its own prior share (69 claims, 32 expected)
UpEducation — 1.8× its own prior share (47 claims, 26 expected)
UpHealthcare — 1.4× its own prior share (112 claims, 80 expected)

22% of claims carry no sector label.

Brand churn

Of the 229 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 19% of the 209 old enough to judge posted on one day and never again; 39% made at least half their claims in their first week. New brands this month: 9 — newest: Whitearmor (2026-10-23, 5 claims), Mimori (2026-10-20, 2 claims), THE SEVEN DEADLY SINS (2026-10-16, 8 claims).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 35% of its claims on Germany (7.0× every other brand's share); N0n put 34% of its claims on Transportation (7.8× every other brand's share); Storm put 78% of its claims on the United States (2.1× every other brand's share). Widest spread: nightspire across 10.4 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 92% of its claims on Wednesdays, half of them in 12:00–15:59 UTC; safepay released 63% of its claims on Mondays, half of them in 19:00–19:59 UTC; akira posted only 1 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of Deadlock's claims appeared in 12:00–13:59 UTC. Leak sites overall are 37% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Acompañamientos

Herramientas gratuitas en directo. Sin registro, sin llamadas comerciales.

Cada mañana06:00 UK

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Un correo al día. El periódico completo. Cancela la suscripción con un clic.

§8

Colofón

Cómo se elaboró esta edición, sin rodeos.

La edición 29 fue elaborada por una máquina y comprobada por código. Se leyó íntegramente cada elemento publicado por 10 feeds públicos de amenazas en las 24 horas hasta las 05:05 (hora del Reino Unido) (364 elementos): estadísticas calculadas por código, cada segmento leído por Claude Sonnet y la estructura sintetizada por Claude Opus. Después, Claude Opus editó el periódico. Cada historia cita los elementos en que se basa; las historias cuyos justificantes no se resolvían, o cuyas cifras no figuraban en sus fuentes, se descartaron antes de la publicación (0 hoy). Los pronósticos se califican públicamente en ediciones posteriores. «Desde nuestro perímetro» son datos de ataque en vivo de nuestros propios servidores. Costee de esta edición: 0,00 $. Está escrita por una máquina con la voz de ScottG, autor de Everything Is Probably Fine, y nadie la editó a mano, lo cual es o el objetivo o el problema.

364items read

24hour window

$0.00cost of this edition

05:05 UTCgenerated

Fuentes de esta mañana

NVD100ok
Signal Atlas83ok
RansomLook53ok
atlas49ok
infosec.exchange37ok
ransomware.live21ok
Security news13ok
signal:ioc-family5ok
RSS2ok
Ransomware tempo · Ninja Signal graph1ok

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

CGM CLININET: once CVE en un solo sistema hospitalario, varias de ellas con root como destino

Qilin y N0n publican 31 reivindicaciones cada uno en un día, y los rastreadores no se ponen de acuerdo sobre a qué se dedican las víctimas

Los agentes de IA siguen saliendo con un botón de «sí» que cualquiera puede pulsar

Una clave de LiteLLM confirmada en mayo acabó en una versión maliciosa del paquete

Tailscale SSH puede convertir un dispositivo comprometido en root en otros, sin parche por ahora; los routers ASUS dan root en estado de fábrica

Falcon, Emperador y WhiteArmor publican reivindicaciones de grandes nombres con cifras sospechosamente exactas

El bootkit BlackX usa el viejo fallo Baton Drop para esquivar Secure Boot

Una empresa de seguridad envía más de 2 millones de actualizaciones a ordenadores que no son suyos para desactivar el actualizador de Popcorn Time

La ráfaga de Qilin es real, pero las etiquetas de escalada de Atlas se construyen con los mismos recuentos

El lote de N0n parece una plantilla

CGM CLININET es una divulgación coordinada, no una campaña

NVD y Krybit se quedaron callados en el mismo momento

Los vínculos de «adelanto-retraso» de Falcon y Payload son colisiones de nombres

Las herramientas de agentes siguen fallando en el paso de aprobación

Today’s calls

Scorecard

Glosario de términos ante los que se espera que asientas

La lista WTF

El visitante más decidido

Mismo ADN, distintas direcciones

Probando CVE-2024-4577 contra nosotros

La lista de la compra más extraña

Con prisa

Recíbelo en tu bandeja de entrada. Cada mañana. Probablemente.

Fuentes de esta mañana